Investigadores han identificado una campaña maliciosa que se dirige a sitios web basados en WordPress, con el objetivo de realizar inyecciones de JavaScript para redirigir a los usuarios hacia páginas sospechosas. La actividad fue detectada por la empresa Sucuri, quien informó sobre la presencia de código malicioso en uno de sus clientes.
Según Puja Srivastava, investigadora de Sucuri, el contenido inyectado incluye malware oculto que imita una verificación falsa de Cloudflare. El ataque se realizó mediante la modificación del archivo functions.php, relacionado con el tema del sitio web. El código insertado contiene referencias a Google Ads, lo cual podría ayudar a evadir la detección.
El malware envía una solicitud HTTP POST al dominio brazilc[.]com, que responde con una carga útil dinámica. Esta carga incluye dos componentes: un archivo JavaScript alojado en el servidor remoto porsasystem[.]com, y un fragmento de código JavaScript que crea un iframe oculto de 1×1 píxeles, dentro del cual se inyecta código que imita recursos legítimos de Cloudflare.
El dominio porsasystem[.]com ha sido marcado como parte de un sistema de distribución de tráfico (TDS) conocido como Kongtuke, también llamado 404 TDS, Chaya_002, LandUpdate808 y TAG-124. Según información compartida en Mastodon el 19 de septiembre de 2025, la cadena de infección comienza cuando los usuarios visitan un sitio comprometido, lo que resulta en la ejecución del archivo porsasystem[.]com/6m9x.js, que conduce a porsasystem[.]com/js.php y finalmente lleva a las víctimas a páginas de estilo ClickFix para la distribución de malware.
Campaña ClickFix y kits de phishing
La revelación surge después de que la Unit 42 de Palo Alto Networks detallara un kit de phishing llamado IUAM ClickFix Generator, que permite a los atacantes infectar a los usuarios con malware aprovechando la técnica de ingeniería social ClickFix. Las páginas de phishing personalizadas también permiten manipular el portapapeles, detectar el sistema operativo utilizado y adaptar la secuencia de infección para distribuir malware compatible.
En al menos dos casos diferentes se ha detectado que actores de amenazas utilizan páginas generadas con el kit para implementar ladrones de información como DeerStealer y Odyssey Stealer, este último diseñado para sistemas macOS de Apple. La aparición del generador IUAM ClickFix se suma a una alerta previa de Microsoft sobre el aumento de desarrolladores comerciales de ClickFix en foros clandestinos desde finales de 2024.
ClickFix se vuelve sigiloso mediante el contrabando de caché
Los hallazgos también se producen tras el descubrimiento de una nueva campaña que ha innovado en la fórmula de ataque de ClickFix empleando una técnica conocida como contrabando de caché (cache smuggling), para pasar desapercibido sin descargar explícitamente archivos maliciosos en el host objetivo.
El script malicioso no descarga ningún archivo ni se comunica con internet, sino que utiliza la caché del navegador para almacenar datos arbitrarios en el equipo del usuario. La página con temática de ClickFix se hace pasar por un verificador de cumplimiento de VPN de Fortinet, utilizando tácticas de FileFix para engañar a los usuarios y lograr que inicien el Explorador de archivos de Windows y peguen un comando malicioso en la barra de direcciones.
El comando invisible está diseñado para ejecutar un script de PowerShell a través de conhost.exe. El script no descarga malware adicional ni se comunica con un servidor controlado por el atacante, sino que ejecuta una carga útil ofuscada que ya está almacenada en la caché del navegador cuando el usuario accede a la página de phishing.